사이버공격 컨트롤타워 ‘국가안보실’, 대통령실 산하라 인력 못 둬
[SRT(에스알 타임스) 문재호 기자] 카드사·통신사·보험사 등 대규모 해킹 사고가 올해 들어 연이어 발생하면서 보안관리 체계의 ‘칸막이’ 문제가 도마 위에 올랐다. 사이버 위협이 본질적으로 초국가·초산업적 성격을 띠지만 우리나라는 보안관리 체계가 금융·비금융, 부처별로 갈라져 있어 현실과 괴리가 있다.
이번 사태를 계기로 정부가 부처 별로 파편화된 사이버보안 기능을 한데 모아 이를 전담하는 ‘청’급 조직을 신설할 지 관심이 쏠린다. '사이버보안청'이 신설되면 청장이 차관급 이상, 그 밑에 차장·국·과 등 조직이 있어 사이버 보안 관련 인력과 예산이 많이 늘어나게 된다.
30일 업계에 따르면 현행 해킹사고 제도상 민간은 과학기술정보통신부(과기정통부), 공공은 국가정보원으로 보안 사고 전담 체계가 나뉘어 있다. 또 금융권에서 발생한 해킹·정보 유출은 금융위원회(금융위)의 관리·감독 아래 금융보안원이, 일반 기업 등 비금융 부문은 과학기술정보통신부 산하 한국인터넷진흥원(KISA)이 각각 맡는다.
이에 따라 SK텔레콤 유심 해킹이나 KT 무단 소액 결제 및 서버 침해, 온라인 서점 예스24의 랜섬웨어 감염 등으로 인한 고객 정보 유출 사고는 과기정통부가, 롯데카드·SGI서울보증 등에서 발생한 해킹 사고는 금융위가 대응했다.
지난 20일 KT와 롯데카드 해킹 사건과 관련 정부가 합동 브리핑을 열었지만, 과기정통부와 금융위는 나란히 서 있으면서도 사건 설명과 질의응답은 따로 진행돼 '단절된 모습'을 보여줬다. 사이버 공격은 기업의 성격과 상관없이 갈수록 정교하고 다변화되고 있는데, 정부 차원 대응은 여전히 부서간 벽에 막혀 있다.
해킹 피해는 금융권과 비금융권을 가리지 않고 나타나지만, 감독과 대응 권한이 이원화돼 있어 정보 공유와 초기 대응 과정에서 공백이 생길 위험이 있다.
KT 무단 소액결제 사건도 금전적 피해라는 특수성 때문에 사태 초기 담당 기관 간 역할 조율이 원활하지 않았던 것으로 전해졌다. 롯데카드 해킹 사태에서는 금융위와 금감원이 감독·제재 권한을 쥐고 있지만, 사고 원인 규명이나 디지털 증거수집(포렌식) 같은 기술적 대응 역량은 부족하다는 지적이 제기된다.
이와 관련 유상임 과기정통부 장관 또한 지난 5월 기관별로 흩어진 보안 정책을 통합 관리할 체계가 필요하다고 지적했다. 사이버 공격은 특정 영역에 국한되지 않기 때문에, 분야별로 나뉜 대응보다는 일원화된 관제탑(컨트롤타워)이 더 효과적이라는 것이다.
유 장관은 지난 5월 열린 대통령 선거 국면 브리핑에서 “우리나라가 가질 수 있는 모든 사이버 보안 시스템을 가동해야 하는데 실제 국가정보원을 중심으로 돼 있고 (부처 역할이) 산재해 있다”고 꼬집었다. 이어 유 장관은 “SKT 해킹을 계기로 범국가적인 사이버 보안 강화가 필요한 시점”이라고 덧붙였다.
국내에서는 현재 대통령실 국가안보실 산하 사이버안보비서관이 국방·외교·민간·금융 등 다양한 영역의 사이버 보안을 총괄하고 있다. 다만 국가안보실은 과기정통부 등 정부 조직처럼 인력을 가질 수 없는데다, 대통령을 보좌하는 데 특화된 조직이다. 이에 따라 국가 차원의 전담 보안 기관을 신설해 각 분야를 아우르는 조율 기능을 강화해야 한다는 목소리가 커지고 있다.
실제 주요 선진국들은 이미 통합 컨트롤타워를 두고 있다. 미국은 국토안보부 산하에 사이버·인프라보안국(CISA)을, 영국은 국가사이버보안센터(NCSC)를 운영 중이며, 일본 역시 지난 7월 내각 산하에 240명 규모의 국가사이버통괄실을 신설해 사이버 보안 컨트롤타워 기능을 맡겼다.
학계에서는 정부가 정보보안 통합 컨트롤타워를 신설해 기업과 정부기관이 사이버보안을 잘하는지 규제할 뿐만 아니라 정보보안 전담 인력 확보가 어려운 중소기업을 지원할 수 있어야 한다고 강조했다.
박춘식 아주대 교수(사이버보안학과)는 “과기정통부 현 체제로는 해킹 사고 방지가 잘 안 된다. 개인정보보호위원회는 보안 규제만 잘하고 있기에 사이버보안청 신설을 통해 기업들의 사이버보안 정책 규제와 지원을 동시에 해 해킹 사전 방지 역량을 강화해야 한다”고 강조했다.
이어 박 교수는 “대기업과 중견, 중소 기업 간 공급망이 연결돼 있기에, 하청 중소기업이 대기업에 용역을 제공하는 과정에서 (악성코드나 랜섬웨어 등이) 들어올 수 있다”며 “중소기업의 보안 관제와 교육, 솔루션을 지원해 사슬처럼 얽혀 있는 중소기업과 대기업 간 시스템 해킹 방지를 지속적으로 추진해야 한다”고 강조했다.